做好服务器网站防护 守住站点安全

昨天帮一个客户处理完站点入侵的善后，他说之前根本没把服务器网站防护当回事，觉得做的就是个展示产品的小站点，没人会盯上，结果被挂了黑链还被搜索引擎降权，损失了大半年的流量积累，哭都来不及。其实不管站点大小，只要挂在网上公开访问，就有可能碰到自动化扫描攻击、恶意脚本注入这些事儿，防护这件事，真的不能偷懒抱侥幸。

服务器网站防护要先从基础权限入手

说出来你可能不信，百分之七十的服务器被入侵，都是因为基础权限没弄对。比如很多新手图方便，直接用默认的22端口开SSH登录，那每天打开日志看看，能看到上百次来自不同IP的尝试登录，都是黑客的自动化脚本在扫。改个非默认的高位端口，比如改成2222之类的，直接就能少百分之八十的无效扫描，门槛一下子就上去了。

还有用户名密码，别用root、admin这种默认用户名，密码也别用123456、你的生日这种弱密码，最好直接开密钥登录，彻底关闭密码登录，就算人家扫到你的端口，没密钥根本进不来。还有FTP，很多人开了匿名登录就忘了关，这可不就是给黑客递台阶吗？匿名登录一定要关，权限也别给太高，只给需要读写的目录开权限，其他地方只读就行，哪怕真的进来了，也没法乱改东西。我之前就碰到过一个客户，就是匿名FTP开着没关，结果整站都被挂上了赌博黑页，折腾了整整两天才清理干净，说多了都是泪。

及时更新补丁是最省心的防护

我见过太多站长，装完系统、面板之后，就再也不更新补丁了，说什么怕更新之后出问题，网站打不开影响生意。可你想啊，那些公开爆出的漏洞，黑客都整理好现成的工具了，天天全网扫，你不补漏洞，那不就是开门揖盗吗？当然，更新之前最好做个全量备份，这点确实，万一兼容性出问题，还能回滚，别因噎废食啊。

不止系统内核要更，面板、数据库、网站程序这些应用层的补丁也别落下，很多入侵都是从应用层的漏洞进来的。之前有个用宝塔面板的客户，两年没更版本，刚好那个老版本有个提权漏洞，直接被人拿到了最高权限，整台服务器都被当成肉鸡去打DDoS了，最后花了几千块才找回来数据，得不偿失。

配置好防火墙，挡住大部分无脑攻击

不管你用的是云服务器还是独立服务器，厂商基本都给免费的基础防火墙或者安全组，很多新手不知道开，或者直接全端口放通，这可不就是给黑客敞开大门了？默认规则就应该是只放通你需要用的端口，比如网站用的80、443，你自己用的SSH改后的那个端口，其他所有端口全都禁掉，一下子就能把绝大多数扫描挡在外面。

还可以装个免费的工具叫fail2ban，配置起来特别简单，搜个教程十分钟就能弄好，它能自动把多次尝试登录失败的IP封掉，对付暴力破解密码简直不要太好用。花十分钟配置好，能换来好几年的安心，这笔买卖太值了。如果你用的是云服务器，记得云安全组也要配置，那是第一层防护，别直接放通所有IP所有端口，很多人就是图省事全打开，最后出了问题才后悔。

日志监控别偷懒，早发现才能早处理

很多站长买完服务器搭好站，就再也不看日志了，觉得那玩意儿没用，占空间。其实日志里全是宝贝，哪个IP一直在扫你端口，哪个路径一直有不正常的请求，一眼就能看出来。开个简单的异常监控，比如异地登录、多次登录失败就给你发邮件或者短信提醒，一有问题马上就能知道，别等 site被黑、排名掉了才发现，那时候损失已经造成了。

我之前有个朋友，听了我的建议开了监控，第二天就收到了异常登录提醒，一看有个国外IP一直在试密码，直接封了之后，就再也没出过事儿。就是这么简单的一步，很多人嫌麻烦不做，最后出事儿花好几天收拾烂摊子，哪个划算不用我多说吧。

来路不明的源码软件别乱装

很多站长喜欢找各种免费破解版的主题、插件、模板，觉得省钱，可你不知道，这些破解版里十有八九藏了后门，你装上去等于直接给黑客开了后门，人家想进就进，想改就改。我之前碰到过一个做企业站的客户，装了个破解版的官网模板，结果里面藏了自动挂暗链的后门，过了半年才发现，那时候排名掉了一半都多，流量几乎没了，重新做站花了好几个月。

所以尽量从官方渠道下载源码插件，不用的插件主题赶紧删掉，别放在服务器上占地方还留隐患。还有那种闲置很久没管的站点，别直接扔在服务器上不管，要么删掉要么做好防护，不然很容易变成黑客的突破口，连带着你的其他站点一起遭殃。

其实说了这么多，服务器网站防护真的没什么高深的技术，都是一些踏踏实实的基础小事，你提前花个一天半天做好了，就能挡住百分之九十以上的常见攻击。别抱着侥幸心理说我的站小没人盯，现在黑客都是用自动化工具全网扫，不管你站大站小，只要有漏洞，人家肯定会碰一碰。提前做好防护，比出了事再花钱救火划算太多了，毕竟守住站点安全，才能安心做内容做运营，不是吗？